Към съдържанието
Търсене

CVE-2026-33460: Elastic Kibana, заобикаляне на вход и права

4.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Incorrect Authorization (CWE-863) in Kibana can lead to cross-space information disclosure via Privilege Abuse (CAPEC-122). A user with Fleet agent management privileges in one Kibana space can retrieve Fleet Server policy details from other spaces through an internal enrollment endpoint. The endpoint bypasses space-scoped access controls by using an unscoped internal client, returning operational identifiers, policy names, management state, and infrastructure linkage details from spaces the user is not authorized to access.

Засегнати продукти

  • Elastic Kibana: 9.3.0 до 9.3.2; 9.0.0 до 9.2.7; 8.0.0 до 8.19.13

Вид слабост

История

  • 8 април 2026 Публикувано

Други уязвимости в Elastic Kibana

Първоизточници

CVE-2026-33460: Elastic Kibana, заобикаляне на вход и права | freedomonline.bg